1

Sicurezza nell’utilizzo di Internet

2

Sicurezza – Definizioni� Pirati informatici (hacker, cracker):

persone che entrano in un sistema informatico senza l’autorizzazione per farlo

� Sicurezza: protezione applicata ad un sistema informatico per garantire il soddisfacimento degli obbiettivi di preservazione dell’integrità, disponibilità e confidenzialità delle risorse del sistema

3

Sicurezza – Struttura del web� Elementi da prendere in

considerazione nell’analisi della sicurezza (punti deboli)

4

Sicurezza - Pericoli� Cavallo di Troia: programma o

documento che contiene software dannoso nascosto da una normale applicazione (es. virus in file o email)

� Hacking: spezzare i meccanismi di autenticazione della password (“intuizione”, furto, generazione automatica di password)

5

Sicurezza - Pericoli� Mapping: un attacco è spesso

preceduto da raccolta di informazioni (IP delle maccchine, SO installato, porte e servizi attivi)

� Port scanning: scansione sequenziale delle porte che inviando richieste di servizio classifica e analizza le risposte ricevute)

6

Sicurezza - Pericoli� Sniffing: “fiutare” le password

attraverso software in grado di monitorare il flusso di pacchetti di dati che attraversano la rete

� Spoofing: possibilita’ di modificare in maniera fraudolenta il contenuto dei pacchetti in circolazione (es. falsificando l’indirizzo IP di provenienza e assumendo indebitamente l’identita’ altrui)

7

Sicurezza - Pericoli� Attacchi “denial-of-service” (DoS): es.

pacchetti con IP “camuffato” possono richiedere allocazione di risorse su di un un server (es. SYN flooding) o terminali ignari rispondono a richieste di echo-reply con IPmittente camuffato (che subisce l’attacco)

� Distributed denial-of-service (DDoS): � 1. Si acquisiscono fraudolentemente account

e credenziali di utente su terminali diversi� 2. Si installa su tali terminali un programma

“slave” per attacchi DoS� 3. Un prorgamma “master” attiva tutti gli

slave a lanciare l’attacco ad uno stesso host bersaglio

8

Sicurezza - Pericoli� Hijacking: “dirottamento” es. di una

connessione; in un primo tempo la conversazione fra A e B viene “ascoltata”, poi il pirata si può sostituire es. a B (dopo averlo messo temporaneamente fuori uso con DoS) inviando ad A pacchetti con IP di B “camuffato” proseguendo cosìfraudolentemente a suo vantaggio la conversazione

� ….

9

Sicurezza – Cosa fare� Limitare gli accessi e usare

meccanismi di autenticazione e autorizzazione

� Monitorare i registri e i log che tracciano i tentativi di accesso (tcwrapper in unix)

� Disabilitare i servizi del sistema operativo che non sono necessari

� Separare i servizi (es. Web, email)� Tenersi informati: newsgroup e

pareri del Computer Emergency Response Group (CERT)

10

Sicurezza – Cosa fare

� Principio del privilegio minimo: al server Web deve essere assegnata la quantità minima di privilegi di cui ha bisogno

� Limitare l’accesso alle aree CGI, directory in cui sono memorizzati script e programmi eseguibili

11

Sicurezza – i Firewall� Funzioni o apparecchiature che

servono a proteggere un dominio o una rete privata

12

Sicurezza – i Firewall� In pratica un Firewall è una

combinazione di HW e SW che “isola”una rete privata (es. aziendale) dal resto di Internet operando un filtraggio selettivo dei pacchetti

� Può agire su due livelli:� Firewall a filtraggio di pacchetto

(agisce sullo strato di rete in base all’IP)� Gateway a livello di applicazione

(gestisce gli accessi in modo più fine, utente per utente, centralizzando le funzioni di autorizzazione e controllo e gestendole a livello di applicazione)

13

Crittografia

� La Crittografia si occupa della cifratura e della decifratura dei messaggi

� Crittografia moderna: algoritmi a chiave simmetrica e asimmetrica

14

Crittografia – algoritmi a chiave simmetrica (DES)

� Messaggio criptato con chiave segreta (nota solo al mittente e al destinatario)

15

Crittografia – Sistemi a chiave asimmetrica (chiave pubblica)

� Ad ogni persona sono assegnate due chiavi (pubblica e privata) legate tra loro ma non riconducibili l’una a l’altra.

� Sono necessarie autorità di riferimento per la detenzione delle chiavi pubbliche che siano affidabili (garantiscono l’autenticità).

16

Crittografia – Sistemi a chiave asimmetrica (RSA)

� Algoritmo Rivest, Shamir, Adleman 1977� scelgo p,q numeri primi grandi (~10200)� n = pq, m = (p-1)(q-1)� scelgo e < m, e primo rispetto a m� calcolo d tale che: de = 1 mod m

(inverso di e mod m, es. alg. di Euclide)� => chiave pubblica e’: (e,n)� => chiave privata e’ : (d,n)

� cifratura: C = Me mod n� decifratura: M = Cd mod n

� decrittazione: trovare d noti n,e,C(occorre fattorizzare n in pq !!)

17

Crittografia – Sistemi a chiave asimmetrica (RSA)

� Autenticazione del mittente

18

Crittografia – Sistemi a chiave asimmetrica (RSA)

� Riservatezza e identità del destinatario

19

Crittografia – Sistemi a chiave asimmetrica (RSA)

� Certezza del mittente, del destinatario e riservatezza del messaggio

20

Sistemi a chiave Asimmetrica

� Vantaggi� non richiede scambio di

informazione segreta in rete (la chiave)

� con N soggetti, richiede 2N chiavi anziche’ N(N-1)/2

� garantisce l’autenticita’

� Svantaggi� usa chiavi molto lunghe

e processo criptazione computazionalmenteoneroso

� non cifra alcune strutture del messaggio che possono essere riconosciute e permettere di risalire al messaggio in chiaro

21

Uso sinergico dei due sistemi (PGP)

� Il Messaggio vero e proprio viene codificato con un cifrario simmetrico (+ veloce e sicuro)

� La crittografia a chiave pubblica viene utilizzata per lo scambio della chiave simmetrica:la chiave simmetrica viene codificata con la chiave pubblica del destinatario e allegata al messaggio (busta elettronica)

22

SSL (protocollo https)

� Privatezza del collegamento: i dati sono crittografati con crittografia simmetrica (RSA)

� Autenticazione: identità autenticata attraverso la crittografia asimmetrica (certificato digitale)

� Affidabilità: il livello di trasporto include un check dell’integrità del messaggio (con firma digitale)

23

Firma Digitale

� Il Documento con firma elettronica� e’ stato realmente prodotto dal

proprietario della firma� non puo’ essere stato modificato

dopo la firma� non puo’ essere disconosciuto da

chi ha firmato

� (proprieta’ verificabili da chiunque riceva il documento firmato)

24

Firma Digitale

� La sottoscrizione con firma digitale ha valore legale (D.P.R. 512/97 n. 513 e Regolamento attuativo)

� ha funzione indicativa(identifica l’autore)

� ha funzione dichiarativa(denota approvazione del contenuto del documento da parte del firmatario)

� ha funzione probatoria(l’autore si assume la paternita’ dei contenuti)

25

Firma Digitale� Schema di funzionamento

26

Distribuzione e Certificazione delle Chiavi� Occorrono “intermediari di fiducia” che:

� Nel caso di chiave simmetrica agisca come Centro di Distribuzione delle Chiavi (KDC), usando una chiave segreta condivisa

� Nel caso di chiave asimmetrica garantiscono che una chiave pubblica appartenga ad una certa entità validandone l’identità (lavorano come Certification Authorithy)

� Certificato = credenziali + chiave pubblica di un entità, firmato dalla CA con la propria chiave privata

� Se ci si fida della CA, ci si deve fidare anche dell’identità dei proprietari (e delle loro chiavi) da essa certificati

27

Commercio Elettronico(e-commerce)

� Un qualunque tipo di operazione commerciale (vendita/acquisto beni e servizi) in cui gli attori interagiscono per via elettronica piuttosto che con scambi fisici e contatti diretti

� Tipologie:� B2B - Business to Business (93%)� B2C - Business to Consumer (7%)

28

Commercio Elettronico

� Transazione Commerciale:inoltro dell’ordine dall’acquirente al negozio virtuale (Internet)

� Transazione Finanziaria:inoltro istruzioni di pagamentoda parte dell’acquirente

� off-line (es. via telefono o fax)� on-line - pagamento elettronico

29

Pagamento elettronico

� Metodi “hardware”� borsellino elettronico (smart-card)

� Metodi “software”� debit-based (assegni elettronici)

Netchex, Redi-check, Netcheque, Banknet, FSTC

� credit-based (uso di carte di credito)CyberCash, FirstVirtual, STT-SEPP, TelePay, SET

� token-based (moneta virtuale)Millicent, Netbill, E-Cash, DigiCash

30

Il Sistema SET - Secure Electronic Transaction

� Nato da accordo Visa-Mastercard

� Non prevede connessione sicura (non opera a livello di pacchetto come SSL) ma gestisce la transazione di pagamento a livello di applicazione

� Basato su crittografia (RSA + DES)e certificati digitali (standard X.509)

31

SET - Attori� Il possessore di carta di credito

(il compratore)� Il venditore

� Un’Autorita’ di Certificazione,garante dell’identita’ delle parti coinvolte (es. VeriSign)

� Un Payement Gateway(l’intermediario)

� La rete di pagamento delle istituzioni finanziarie

32

SET - Fasi operative

� User Registration:l’utente si registra presso un’autorita’ e ottiene un certificato

� Purchase Request:l’utente invia l’ordine di acquisto

� Payment Authorization:il venditore richiede al gateway l’autorizzazione e provvede alla consegna del bene o servizio

� Payment Capture:avviene il trasferimento della somma

33

SET - User Registration (1)� Initiate Request

invio (non protetto) richiesta di registrazione all’authority

� Initiate Responsel’authority risponde includendo il proprio certificato e autenticandolo apponendo la propria firma digitale

� Registration Form Requestil richiedente fa le verifiche, memorizza il certificato ad uso futuro, e chiede il form appropriato (c/c bancario, diverse carte credito) usando la chiave pubblica dell’authority

� Registration Forml’authority fa le verifiche e invia all’utente il form richiesto (al solito con con certificato firmato)

34

SET - User Registration (2)� Cardholder Certification Request

il richiedente fa le verifiche sul form, se non gia’ disponibili il sw genera una coppia di chiavi simmetriche per l’utente; questi compila il form (es. con dati carta di credito), che viene cifrato con una chiave simmetrica, posta in busta elettronica sigillata con la chiave pubblica dell’authority e inviata alla stessa

� Cardholder Certificatel’authority apre la busta, legge la chiave con cui decifra il form, prende una decisione sul rilascio dell’autorizzazione; in caso positivo genera il certificato per l’utente, lo firma digitalmente e lo invia in messaggio protetto

� Certificateil richiedente decifra il certificato, fa le verifiche del caso e registra il suo certificato per usi futuri

35

SET - Purchase Request� Initiate Request

invio (non protetto) del proprio certificato al venditore

� Initiate Responseil venditore assegna alla transazione un identificatore (ID) univoco e lo pone, assieme ai certificati proprio e del payment gateway in un messaggio firmato digitalmente che invia in modo protetto al compratore

� Purchase Requestil compratore verifica i certificati inviati, genera order information (OI) e payment instructions (PI) in cui e‘ inserito il TI; OI non contiene dati riservati e viene semplicemente firmato, PI viene cifrato con chiave simmetrica e posto in busta che solo il payment gateway potra’ aprire; infine PI e OI sono inviati al venditore

� Purchase Responseil venditore verifica il certificato del compratore e l’ID in OI e invia richiesta di approvazione al gateway; avuta la risposta la invia al compratore apponendo la propria firma (“ricevuta” della transazione per il compratore)

36

SET - Payment Authorization� Authorization Request

il gateway riceve dal venditore la richiesta di autorizzazione contenente PI cifrato con chiave simmetrica e posti in busta digitale dal compratore, le informazioni riguardanti la transazione cifrati con chiave simmetrica posti in busta digitale dal venditore e i certificati di compratore e venditore

� Authorization Responseil gateway riceve la richiesta di autorizzazione, controlla i certificati, apre le buste digitali ricavandone le chiavi simmetriche di compratore e venditore con cui decifra PI e richiesta di autorizzazione; se le informazioni inviate da compratore e venditore corrispondono, larichiesta di autorizzazione viene inoltrata all’istituto finanziario (es. su rete interbancaria); se la transazione e’ approvata, il gateway invia un messaggio al venditore contenente un capture token che verra’ usato in seguito per l’accredito

37

SET - Payment Capture

� Capture Requestil venditore crea un messaggio di richiesta, lo firma e lo cifra usando una chiave simmetrica; il messaggio cifrato viene poi inserito in una busta indirizzata al payment gateway cui viene inviato assieme al capture token e ai certificati di compratore e venditore

� Capture Responseil payment gateway controlla i certificati, apre la busta digitale ed estrae la chiave simmetrica a lui destinata con cui decifra le informazioni e controlla la firma digitale; superati i controlli il gateway invia il capture token all’istituto finanziario affinche’ venga eseguito il trasferimento di fondi; se e’ tutto OK, il gateway invia un messaggio di conferma al venditore in busta digitale, assieme al proprio certificato.